Polityka prywatności

Obowiązuje od 23 października 2026 r.

Ta polityka opisuje dane w koncie The-X, czyli we wspólnym koncie, którym logujesz się do aplikacji Punkt X (dziś Try-Me.now) pod adresem auth.the-x.in. To, co robisz i zapisujesz w samej aplikacji (np. materiały, rozmowy i raporty w Try-Me.now), opisuje polityka prywatności tej aplikacji.

Administrator danych

Administratorem danych osobowych jest Punkt X Sp. z o.o. z siedzibą pod adresem Aleja Jana Pawła II 27, 00-867 Warszawa, KRS 0000338975, NIP 5213542696.

W sprawach danych osobowych pisz na adres [email protected] albo na adres siedziby. Nie wyznaczyliśmy inspektora ochrony danych.

Jakie dane przetwarzamy

• Konto: adres e-mail, język, data założenia i aplikacja, w której konto powstało (żeby wiadomości o koncie przychodziły w jej imieniu). Opcjonalnie hasło, wyłącznie jako skrót kryptograficzny, oraz identyfikator konta Google albo LinkedIn, jeśli logujesz się tym serwisem; od serwisu logowania dostajemy tylko identyfikator konta i adres e-mail. Przy zmianie adresu e-mail nowy adres przechowujemy do czasu jego potwierdzenia.
• Logowanie i bezpieczeństwo: sesje logowania i dostępy aplikacji (identyfikatory, bez adresu IP), jednorazowe linki i kody logowania (tylko jako skrót), liczniki prób logowania i wysyłki linków zapisane jako skrót adresu IP albo adresu e-mail na czas od minuty do doby, dziennik bezpieczeństwa konta (rodzaj zdarzenia i jego czas, bez adresu IP).
• Akceptacje dokumentów: która wersja regulaminu i polityki prywatności aplikacji została zaakceptowana i kiedy, żeby aplikacja nie prosiła o to ponownie.
• Płatności w aplikacjach, które rozliczają się przez konto The-X: zamówienia (aplikacja, oferta, kwota, kwota zapłacona po rabacie, identyfikator kodu rabatowego, status, informacja o żądaniu faktury). Dane karty i dane płatnika, w tym dane do faktury, podajesz bezpośrednio operatorowi płatności Stripe i nie trafiają do nas.
• Wiadomości: historia doręczeń e-maili wysłanych z konta (linki i kody logowania, potwierdzenia i ostrzeżenia o zmianach na koncie).
• Korespondencja: to, co sam napiszesz na nasz adres.

Cele i podstawy prawne

• Prowadzenie konta, logowanie do aplikacji i przekazanie aplikacji, do której się logujesz, identyfikatora konta, adresu e-mail i języka; obsługa płatności i wiadomości o koncie. Podstawą jest wykonanie umowy (art. 6 ust. 1 lit. b RODO).
• Ochrona kont przed nadużyciami i przejęciem (limity prób, dziennik bezpieczeństwa, ostrzeżenia o zmianach, sprawdzenie, czy nowe hasło nie pojawiło się w znanych wyciekach), obsługa korespondencji i reklamacji, ustalanie, dochodzenie i obrona roszczeń oraz dowód zawarcia umowy (akceptacje dokumentów). Podstawą jest nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).
• Przechowywanie dokumentów sprzedaży i rozliczeń oraz obowiązki rachunkowe i podatkowe. Podstawą jest obowiązek prawny (art. 6 ust. 1 lit. c RODO).

Nie wysyłamy wiadomości marketingowych i nie używamy danych do reklamy.

Komu powierzamy dane

• Hostinger International Ltd.: serwer, na którym działa konto i jego baza danych (Litwa).
• Cloudflare: sieć dostarczania i ochrona ruchu do auth.the-x.in i the-x.in oraz przekazywanie poczty z adresu [email protected].
• Resend: wysyłka wiadomości e-mail. Wysyłka odbywa się z regionu UE, ale Resend przechowuje dane konta, w tym treść wiadomości (także link logowania), w USA.
• Stripe Payments Europe, Ltd.: obsługa płatności.
• Have I Been Pwned (Pwned Passwords): sprawdzenie nowego hasła w bazie znanych wycieków. Wysyłamy tylko pierwsze 5 znaków skrótu SHA-1 hasła, nigdy hasło ani adres e-mail.
• Google (Gmail): skrzynka, do której trafia poczta wysłana na [email protected]. Biuro rachunkowe i doradcy prawni w zakresie niezbędnym do rozliczeń i roszczeń.
• Google i LinkedIn: logowanie kontem w tym serwisie, gdy je wybierzesz. Działają jako odrębni administratorzy według własnych zasad.
• Aplikacje Punkt X, do których się logujesz (dziś Try-Me.now): dostają identyfikator konta, adres e-mail i język, a po usunięciu konta informację o tym, żeby usunęły swoje dane. Dane, które gromadzi aplikacja, opisuje jej polityka prywatności.
• Upoważnione osoby z naszego zespołu w zakresie obsługi zgłoszeń, reklamacji i bezpieczeństwa.
• Organy publiczne, gdy wymaga tego prawo.

Przekazywanie danych poza EOG

Część dostawców (Resend, Stripe, Cloudflare, Google, LinkedIn) może przetwarzać dane poza Europejskim Obszarem Gospodarczym, w tym w USA. Opieramy się wtedy na decyzji Komisji Europejskiej o odpowiednim stopniu ochrony (EU-US Data Privacy Framework) albo na standardowych klauzulach umownych. Kopię zabezpieczeń możesz uzyskać, pisząc na nasz adres.

Jak długo przechowujemy dane

• Link i kod logowania: 15 minut. Link potwierdzający zmianę adresu e-mail: 60 minut. Niewykorzystane linki i kody, a z nimi niepotwierdzony nowy adres, usuwamy regularnie.
• Sesja logowania: do wylogowania, zmiany hasła albo usunięcia konta, najdłużej 30 dni bez korzystania. Dostęp aplikacji wygasa najpóźniej 90 dni od zalogowania.
• Dziennik bezpieczeństwa konta: 180 dni, a przy usunięciu konta od razu. Historia doręczeń e-maili: 30 dni.
• Usunięcie konta: usuwamy adres e-mail (zastępujemy go pseudonimem), hasło, powiązania z kontami Google i LinkedIn, sesje i dziennik bezpieczeństwa. Zostają dane bez treści, powiązane wyłącznie z pseudonimem konta: zamówienia i akceptacje dokumentów.
• Zamówienia i dokumenty rozliczeniowe: 5 lat od końca roku podatkowego, w którym powstał obowiązek. Akceptacje dokumentów: 6 lat od końca roku zawarcia umowy, jako dowód na wypadek roszczeń. Korespondencja: do 3 lat od zakończenia sprawy.
• Kopie zapasowe bazy danych: 14 dni. Logi serwera: krótko, w ramach rotacji.

Twoje prawa

Masz prawo dostępu do danych, ich sprostowania, usunięcia, ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu wobec przetwarzania opartego na prawnie uzasadnionym interesie.

W ustawieniach konta na auth.the-x.in sam zmieniasz adres e-mail i hasło, widzisz zalogowane urządzenia i wylogowujesz je pojedynczo albo wszystkie naraz oraz usuwasz konto. Pozostałe żądania kieruj na adres [email protected]; odpowiemy w ciągu miesiąca.

Masz prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych (ul. Stawki 2, 00-193 Warszawa).

Decyzje automatyczne

Konto The-X nie podejmuje wobec Ciebie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu i nie służy do profilowania. Blokada logowania po serii nieudanych prób jest czasowa i chroni konto.

Pliki cookie

Konto używa wyłącznie plików cookie niezbędnych do działania: zaszyfrowanego pliku cookie sesji logowania (do wylogowania albo 30 dni bez korzystania), krótkotrwałych plików cookie logowania (znacznika przeglądarki, która poprosiła o link logowania, i plików potrzebnych do logowania kontem innego serwisu, do 15 minut) oraz pliku cookie z aplikacją, z której otwarto ustawienia konta (do zamknięcia przeglądarki). Nie używamy narzędzi analitycznych ani reklamowych. Strona the-x.in nie zapisuje plików cookie.

Bezpieczeństwo

Dane przesyłamy szyfrowanym połączeniem, hasła, linki i kody logowania przechowujemy tylko jako skrót, a dostęp do danych mają wyłącznie upoważnione osoby. W razie naruszenia ochrony danych, które mogłoby skutkować wysokim ryzykiem, zawiadomimy Cię bez zbędnej zwłoki.

Dobrowolność podania danych i wiek

Adres e-mail jest niezbędny do założenia konta; bez niego konta nie prowadzimy. Hasło i logowanie kontem Google albo LinkedIn są opcjonalne. Konto jest przeznaczone dla osób, które ukończyły 18 lat.

Zmiany polityki prywatności

Każda wersja polityki ma datę. O istotnej zmianie poinformujemy e-mailem.